Trojaner/Virus/Malware von Kaspersky u.a. nicht erkannt!
 

Hallo liebe Trojaner-Profis,
vielleicht könnt ihr mir helfen.
Ich habe zwar Informatik studiert, aber im Moment bin ich an meinen Grenzen angelangt.

Seit ca. einer Woche wechselt beim momentan aktiven Fenster immer mal wieder der Fensterzustand von aktiv(Fokus) auf passiv(hellere Fensterumrandung). Das nervt sehr. Ich denke irgendein Prozess im Hintergrund reisst den Fokus an sich.
Dieses hin un her äußert sich manchmal sogar als schnelles Hin- und Herflimmern der Fensterumrandung (dunkelblau<-->hellblau).
Vor zwei Tagen bemerkte ich dann plötzlich, dass mein Antivir gar nicht mehr da ist (kein Icon mehr nur noch Datei-Reste). Ausserdem wurde der Sicherheitscenter und alle angeschlossenen Dienste (Firewall, Antiviruswächter, Updates) deaktiviert.

Ab diesem Moment war klar, dass ich mir was Übles eingefangen habe. Nur wie? Es muss also mein stehts aktuelles Antivir überlistet haben.

Zu meiner Konfiguration:
Windows XP Prof. SP2 und ziemlich alles Updates bis letzte Woche (außer IE7 und WGA)
Rechner hängt hinter einem Router(Fritzbox) mit folgenden offenen Ports:
Emule TCP 60616, UDP 57297
VPN ESP und VPN IKE UDP 500 (für meine VPN Verbindungen)

Emule lief in letzter Zeit verstärkt, möglicher Trojaner-Zugang ?!?

Nach dieser Analyse versuchte ich nach den Tipps aus diesem Forum vorzugehen und habe verschiedene Antiviren-Proggis installieren wollen. Bei allen Proggis verweigert das Betriebssystem die Installation der Hauptdateien.

Nach genauerem Hinsehen passiert Folgendes:
Ich erstelle einfach irgendwo eine neue Textdatei namens "bla.bla" , dann nenne ich sie einfach in z.B. "guard.exe" (Wächter von AVG Anti-Spyware) um, sie wird sofort gelöscht. Dies passiert mit allen Dateien mit Namen aus Antiviren / Antispyware-packeten ---> Respekt vor dem Entwickler dieses Biestes !!!

Okay trickreich wie ich bin habe ich auf einem anderen sauberen System AVG Anti-Spyware installiert. Dort die "guard.exe" kopiert, umbenannt, schreibgeschützt und im infizierten System reinkopiert. Sie bleibt erhalten solange sie schreibgeschützt ist !!!

Okay AVG läuft ! --> Updates sind allerdings nicht möglcih, da somit die "guard.exe" durch eine neue nicht-schreibgeschützte überschrieben wird, die ist dann sofort wieder weg.
Manuelle Updates mit den Signaturfiles klappt, dann neue "guard.exe" vom anderen System wieder dazu. Ich hoffe dann werden auch die neuen Signaturen benutzt ??? Denn das Proggi zeigt an, dass noch keine Updates gemacht wurden.
Ein Systemscan zeigt keinerlei Trojaner etc.

Okay danach habe ich eine Online-Scan von Kaspersky mit aktuellen Updates durchgeführt --> Systemweit --> gefunden wurden einige W32.Bagle.gi Trojaner in C:\Windows\exefld\*.exe neuesten Datums --> konnte ich löschen, denke aber das diese durch den eigentlichen Schädling heruntergeladen wurden. z.B. 35113156.exe.
Auch nach dem Löschen dieses Ordners füllt sich dieser stündlich mit neuen Leckereien !!!

Ich kann einfach den verantwortlichen Prozeß nicht finden, alle Tools scheitern.

Ach nochwa wichtiges: Der Abgesicherte Modus ist nicht möglich. Bereits beim booten (sehr früh) nach der Auswahl des abgesicherten Modus startet der PC neu. Und zwar kommt noch die Frage ob spdt.sys geladen werden soll, egal ob ich ja oder nein auswähle --> im nächsten Moment kommt der Naustart.

Es gibt auf dem Rechner zwei Konten, beide mit Admin-Rechten: der Administrator selbst und "mein Name" beides mit Passwort.

So jetzt kommt noch das HJT-Log, meiner Meinung nach nichtsaussagend.
Für die Zeile Service: AVG Anti-Spyware Guard - Unknown owner - C:\Programme\Spiel\guard.exe bin ich verantwortlich, damit wollte ich den AVG besser verstecken.

HJT-Log:
Des Weiteren gibt es immer sehr viele svchost.exe Prozesse und der IEXPLORE.EXE zieht viel Ressourcen auf sich ohne das ich den IE benutze.

Beim beenden eines speziellen svchost-Prozesses komt ne Box und Windows wird in 40 sek heruntergefahren.

Bitte, bitte helft mir !!

System neu aufzusetzen wäre keine Hilfe sondern die Kapitulation vor dem Schädlings-Entwickler.

Vielen Dank schon mal im Vorraus.

Gruß

Marco

Neueste Erkenntnisse:

Der Security Task Manager von Neuber scheint eine gute Sache zu sein.
Er erkennt einen bösen Prozess : C:\Windows\system32\wintems.exe

Die Datei ist im Explorer nicht sichtbar, trotz Anzeige versteckter Dateien.

Ich konnte sie dennoch zu "Virustotal" hochladen.... und schau an total verseucht.
siehe jpg-Dateien im Anhang !!!

Mich wundert nur sehr, dass jeder Virenscanner etwas anderes meldet.

Gibt es ein Removal-Tool ? Die Datei lässt sich mit dem Security Task Manager löschen bzw. ich halte Sie in Quarantäne.

Aber das Problem ist nicht behoben. Weiterhin sind keine Antiviren-Tools installierbar. Das Beispiel mit der "guard.exe" besteht weiter.

Hilfe !!!

Aktuelles:

Bitte beschwerd euch nicht, dass ich mich hier alleine unterhalte, aber das Problem soll ja dienlich für die Nachwelt sein.

Also, habe mir jetzt schnell die Vollversion des Security Task Managers gekauft.
Das Ding ist 100 besser als der übliche Mist.

Es wurde ein böser Treiber gefunden:
C:\Windos\System32\drivers\srosa.sys --> Analyse zeigt einige Beagle-Einträge und anderes

....

@Voronoi
Du wurdest bestimmt von einem der Bagles/Beagles befallen.
Wat is dat???
Wie viel hat er nicht gefunden?
Lange Rede - Kurzer Sinn (F.Schiller): System neu aufsetzen ist das einzig Sinnvolle, was man dir vorschlagen kann: http://www.trojaner-board.de/12154-a...sicherung.html
Alternativ nach Lust und Laune kannst du dir noch den Link AVZ4 in meiner Signatur anschauen, aber IMO im VI hat man mir Beagles nicht so große Erfahrungen gesammelt.

Hallo Rene-gad,

also ich habe mein System wieder wunderbar sauber bekommen! :)

Hatte in der Tat eine Kollektion von Bagles/Beagles drauf.

Geholfen hat letztendlich hauptsächlich der Security Task Manager
Security Task Manager - Windows XP process viewer

Damit werden versteckte aber dennoch übliche Prozesse strukturell untersucht und man kann bei gefährlicher Einschätzung einfach die Datei auf "virustotal.com" scannen lassen.

Die entsprechenden üblen Dateien waren nämlich aus Windows heraus nicht in einem Explorer sichtbar, trotz eingestellter Anzeige für versteckte Dateien.

Hilfreich war auch eine Caldera Dr-DOS Boot-CD, damit konnte ich im NTFS Dateien löschen un kopieren.

Nachdem dann das Rootkit entfernt war konnte ich die 50 Viren-Dateileichen wieder mit normalen Antivirus-Proggis aufspüren.

Noch ein heisser Tipp: Das Anti-Rootkit-Tool von www.gmer.net ist für etwas erfahrene Leute echt super, es zerstört nicht nur Rootkits, es kann auch beschädigte Ursprungsdateien wieder säubern.

Also Fazit:

Neuaufsetzen ist was für Lutschies !!!
Ich ziehe gerne wieder in die Schlacht !!!

Machts gut zusammen.

So, dann lies dir mal bitte das hier durch. Den Beweis eines Backdoorbefalls hast du, die Möglichkeit, dass ein Angreifer eine wesentlich besser versteckte Hintertür eingebastelt hast, ist somit gegeben.

:daumenhoc Na da hast du ja die richtigen Typen gefragt!!!

Wenn das jemand qualifiziertes sagen würde, wäre das bestimmt für die meisten Leute zutreffend. :party:

Und was willst du mir damit jetzt sagen? Dass du den Artikel nicht gelesen oder verstanden hast? :confused: